Une faille dans le service de paiement en ligne PayPal permet d'exploiter un certificat de sécurité valide dans une fausse page PayPal.
Une faille dans le service de paiement en ligne PayPal permet d'exploiter un certificat de sécurité valide dans une fausse page PayPal.
La société de services Internet NetCraft a révélé la présence d'une faille dans le site de paiement en ligne PayPal, filiale d'eBay, qui permet de dérober frauduleusement le nom d'usager d'un client du service, son numéro de carte de sécurité sociale et les détails de sa carte bancaire.
L'attaque par hameçonnage, distribuée par un pourriel, invite les membres de la communauté PayPal à suivre un lien malicieux vers une fausse page de sécurité d'un site PayPal. La page s'affirme sécurisée, ce qui démontre une certaine maîtrise de la part des pirates.
L'URL détournée exploite une faille dans PayPal qui permet au fraudeur d'injecter son propre code dans la page qui lui est retournée.
Il en résulte un message d'erreur qui indique que la page «Will now be redirected to Resolution Center» (va être redirigée vers le centre de résolution).
Et bien évidemment la page vers laquelle le client PayPal est redirigé lui demande de re-saisir les détails de son compte PayPal. La saisie est expédiée vers le serveur du fraudeur, puis une nouvelle page s'affiche et demande d'autres renseignements personnels.
La façon dont est exploitée la faille de PayPal rend la fraude difficilement détectable. Si l'internaute n'est pas capable de repérer la fraude dès le courriel douteux reçu, il se précipite dans les mailles du filet tendu par les pirates dès qu'il clique sur le lien.